Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Movable Type」ベースの「PowerCMS」にも深刻な脆弱性

アルファサードが提供するコンテンツマネジメントシステム(CMS)の「PowerCMS」に深刻な脆弱性が含まれているとして開発者やセキュリティ機関より注意喚起が行われている。ベースとなる「Movable Type」に明らかとなった脆弱性の影響を受けたものだが、あらたにCVE番号「CVE-2021-20850」が採番されている。

同ソフトウェアは、シックス・アパートとの許諾契約のもと、「Movable Type 6」をベースに同社が独自に開発しているCMS。今回あらたに「XMLRPC API」に「OSコマンドインジェクション」の脆弱性が明らかとなったもの。「同5.19」「同4.49」「同3.295」および以前のバージョンが影響を受ける。

10月20日に公表された「Movable Type」の「CVE-2021-20837」と同様の脆弱性で、これまでも利用者に対して注意喚起が行われてきたが、あらたにCVE番号「CVE-2021-20850」が採番された。共通脆弱性評価システム「CVSSv3.0」のベーススコアは「9.8」。

「Movable Type」に明らかとなった「CVE-2021-20837」に関しては、10月26日に実証コードが公開され、翌日より探索行為が行われているほか、11月1日に入ってからは、脆弱性を狙った攻撃が展開されており、被害も発生している

(Security NEXT - 2021/11/25 ) このエントリーをはてなブックマークに追加

PR

関連記事

I-O DATAのNAS製品「HDL-T」シリーズに深刻な脆弱性
米政府、脆弱性6件の悪用に注意喚起 - メールや社内チャットなども標的に
トルコ関与疑われる攻撃グループ、チャット製品にゼロデイ攻撃
「Kibana」にプロトタイプ汚染の脆弱性 - アップデートや緩和策
「Firefox」のJavaScript処理に脆弱性 - 重要度「クリティカル」
「Auth0」のSDKに脆弱性 - 各プラットフォーム向けにアップデート
「glibc」に深刻な脆弱性 - 2024年のアップデートで修正済み
多要素認証製品「Advanced Authentication」に脆弱性 - 4月更新で修正済み
「macOS」にアップデート - 多数脆弱性を解消
「Node.js」に脆弱性 - 各ブランチ向けにアップデート